これまで報告例のなかったマルウェアローダー「SynkLoader」が確認されました。Python、C#、ネイティブC++の各コンポーネントを組み合わせることで検知を回避し、Windowsの認証情報を窃取するとともに、ネットワークへの深い侵入を可能にします。
このマルウェアは2026年8月18日、不審なスケジュールタスクによってEDRアラートが発報したことで初めて発見されました。コンパイルされたのは2026年7月28日頃とみられ、ランサムウェアまたは初期アクセスブローカー(IAB)向けツールとしての特徴を備えています。
感染は、攻撃者が「IT Service Desk」を装って送りつけたMicrosoft Teamsメッセージから始まりました。攻撃者は@company.onmicrosoft.comを偽装したアドレスを使用し、正規のメッセージであるかのように見せかけていました。
なりすました人物は標的を説得し、「PowerShell Cleaner」と称するMSIインストーラーをAzure Blob StorageのURLからダウンロードさせました。Microsoft自身のインフラを悪用することで、ペイロードに偽の信頼性を持たせていたのです。
実行されると、このMSIはPowerShellスクリプトをドロップし、ネストされたInvoke-ExpressionとScriptBlock::Createの呼び出しを使ってメモリ上で完全に動作します。AES-CBCで暗号化されたペイロードを復号した後、完全な組み込みPython環境を%AppData%に展開します。
中核となるローダースクリプトss.pyは、変更を加えた「Sigma」定数を用いる改変版ChaCha20暗号を使い、neversoftmain[.]netやrootfarmapp[.]netを含む複数のC2ドメインのいずれかにビーコン通信を行います。通信の暗号化には、ランダムに生成された被害者IDを鍵として使用します。
このローダーの真骨頂は、複数の言語を積み重ねることで振る舞い検知を回避する点にあります。Pythonが偽のMicrosoftランタイムDLL(msvcp150.dll、msvcp160.dll)を呼び出しますが、これらの実体は独自に作られたC#およびC++モジュールであり、PowerShellをメモリ上で実行したり、ディスクに触れることなく追加のDLLを手動でマッピングしたりする機能を備えています。
ホスト名、ドメイン、権限レベル、Active Directoryのコンピューター数などをプロファイリングした後、このマルウェアは最も特異なコンポーネントを展開します。それが「PhishLocker」で、Windows 11のロック画面を模したフルスクリーンGUIを表示し、ログイン認証情報を直接収集します。
実際のロック画面とは異なり、PhishLockerは認証チェックを一切行わず、どんな入力も受け付けます。さらにAlt+Tabによる切り替えを阻止するため、常に自身にフォーカスを戻し続けます。
ハッシュ値ではなく生のパスワードそのものを収集する手口のため、Mimikatzのような検知ツールをすり抜けてしまいます。特にシングルサインオン環境では被害が深刻化しやすい手法です。
続いて「TrafficRedirector」というモジュールがバックコネクト型のプロキシを確立し、攻撃者は被害者のIPアドレスを経由して内部・外部の両システムにアクセスできるようになります。これにより、IPアドレスの許可リストや位置情報に基づくログインアラートを実質的に回避できます。
窃取した認証情報と組み合わせることで、攻撃者はステルス性の高い横展開を実現できます。このほかにも、対話型のPowerShellリバースシェルや、VNC風の画面ストリーミングツール「StreamMaster」といったモジュールが確認されています。StreamMasterについては、コード内のコメントが不自然なほど丁寧であることから、研究者らはAIによって生成された可能性が高いとみています。
研究者らはC2プロトコルを模倣し、実在しない大企業ネットワークを偽装して攻撃者に提示することで、脅威アクターをハンズオンキーボードによる操作へと誘い込みました。その結果、攻撃者側がハニーポット環境だと気づいて接続を切断するまでの間に、ツールキットの大部分を捕捉することに成功しています。
Marcus Hutchins氏の分析によると、SynkLoaderはランサムウェアグループまたは初期アクセスブローカーと関連している可能性が中程度から低程度の確度であるとされています。根拠として、Active Directoryに参加しているシステム数を数える機能を備えている点を挙げています。これは通常、身代金要求額の算定に用いられる指標です。
組織は、「IT support」を名乗るアカウントから届く未承諾のTeamsメッセージを高リスクとして扱うとともに、想定外の用途で発生する不審なスケジュールタスクやPythonランタイムの活動を監視すべきです。
セキュリティチームに、不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査能力を強化する
翻訳元: https://cyberpress.org/synkloader-malware-spreads-through-microsoft-teams/
